어떤 리눅스 배포판의 패키지 저장소가 안전하고 어떤 패키지가 안전하지 않습니까?

14

대부분의 배포판은 설치 후 새로운 패키지를 다운로드 할 수있는 일종의 저장소 기능을 가지고 있습니다. 어떤 배포판이 안전한 방법으로 이것을 수행하고 어떤 배포판이 안전한 방법으로 이것을 수행하지 않습니까?

특히 man-in-middle과 같은 공격 경로와 리포지토리 메타 서버와 리포지토리 파일 미러 모두에서 보안 위반과 같은 문제에 대해 생각하고 있습니다.

슬랙웨어와 아치 리눅스 모두 패키지 서명이 없기 때문에 매우 취약하다고 들었습니다. 이것이 사실입니까? 단순한 중간자 공격에 취약한 다른 주요 Linux 배포판이 있습니까?

security distros repository

— grm
소스

배포판 사이트가 일반 텍스트 http 또는 ftp이고 배포판이이 연결에서 iso로 획득되고이 기본 연결이 업데이트 패키지에서 서명 한 '포스트 모스트'패키지보다 얼마나 좋은지 MITM 인 경우?

— n611x007

7

이것은 귀하의 질문에 대한 직접적인 대답은 아니지만이 위험을 완화하기 위해 할 수있는 몇 가지가 있습니다. 가장 간단한 방법은 다운로드 한 패키지와 다른 미러 의 체크섬을 비교하여 다운로드 한 패키지를 확인하는 것입니다.

패키지 관리자 ( poldek)가 패키지를 다운로드 할 때 다운로드 한 rpm의 사본을 캐시 폴더에 보관하도록 설정했습니다. 패키지 리포지토리와 비교하여 다운로드의 체크섬을 자동으로 확인하고 불일치에 대해 경고 / 중단하지만 디스 포지 토리 리포지토리에 대한 MITM (Man-in-the-Middle) 공격이 걱정되는 경우 찾아 보는 보조 스크립트를 작성하기 쉽습니다. 다운로드 한 모든 패키지를 확인하고 다른 미러에서 다운로드 한 체크섬과 비교하여 확인하십시오. 패키지를 다운로드했지만 설치하지 않도록 첫 번째 설치를 드라 이런으로 실행할 수도 있습니다. 그런 다음 확인 스크립트를 실행 한 다음 실제 설치를 수행하십시오.

이로 인해 손상된 패키지가 배포 저장소에 들어가는 것을 막을 수는 없지만 대부분의 배포에는 다른 완화 방법이 있으며 서명 된 패키지조차도 이것이 결코 문제가되지 않았다고 보장 할 수는 없습니다. 그것이하는 일은 표적화 된 중간자 공격 벡터를 억압하는 것입니다. 별도의 소스를 사용하고 별도의 채널에서 다운로드하면 손상된 패키지를 탭으로 쉽게 옮길 수 있습니다.

— 케일럽
소스

1

이를 위해 아치 용 패키지가 있으며 paccheck, 설치 전에 다른 미러와 패키지를 비교하고 불일치에 대해 경고합니다.

— Wolf

미러 목록은 공개 된 것일 수 있으므로 공격자가 이론적으로 MITM을 패턴별로 플롯 할 수 없습니까? 공격자가 구체적으로 서버를 대상으로하는 경우에는 이것이 더 가능성이없는 것 같습니까? 그럼에도 불구하고 이것은 아마도 리눅스 대다수가하는 것보다 더 많은 것입니다.

— n611x007

10

데비안 패키지는 체크섬되고, 체크섬은 데비안 키링의 키로 서명됩니다. apt패키지 관리자 보장 다운로드 패키지는 올바른 체크섬을 가지고 체크섬 파일이 올바르게 서명 된 것을.

— jmtd
소스

5

Fedora 패키지는 서명되고 체크섬됩니다. rpmfusion 과 같은 타사 저장소조차도 패키지에 서명합니다.

Yum (패키지 관리자)은 --nogpgcheck서명되지 않은 패키지를 설치하려면 특수 플래그 ( )가 필요합니다 .

— 카낙
소스

다운 스팀 패키지 (예 : Red Hat 및 CentOS)

— fpmurphy

3

모든 Arch Linux 패키지는 md5 또는 sha1 합계를 사용하여 모든 비트가 제자리에 있는지 확인합니다. 해싱 알고리즘을 선택하는 것은 패키지 관리자에게 달려 있습니다. AUR에서 설치 한 패키지 (종종 작은 PKGBUILD 텍스트 파일)는 설치하기 전에 설치자가 확인해야합니다. 공식 바이너리 패키지를 포함하는 리포지토리는 신뢰할 수있는 사용자 (TU)가 감독합니다.

업데이트 : 아치는 이제 팩맨 4와 패키지 서명을 도입했습니다

— 알렉산더
소스

2

모두 사실이지만 패키지는 서명되지 않았으므로 mitm 및 미러 타협 공격에 취약한 상태로 남아 있지만 가능하지는 않습니다. 오랫동안 요청 된 기능이었으며 아치 사용을 심하게 중단 한 주된 이유입니다. 즉, Arch and Pacman 포럼과 위키에서 그것에 대한 논의가 진행 중입니다. 해결하기 어려운 문제입니다. 이 문제 외에도 Arch는 환상적인 배포판입니다.

— Eli Heady

@Eli : 나는 이것의 진실을 논박하고 있지 않습니다. 저는 사건의 상태를 전혀 모릅니다. 그러나 공격하기에 너무나 얇은 시장은 아닙니다. 물론, 아치는 꽤 인기있는 배포판이지만 이러한 유형의 장난이 일반적으로 돈을 벌 수 있다고 주장되는 것은 아닙니다.

— boehj

1

물론 이것이 바로 Windows 사용자 기반이 Linux보다 더 많은 대상이되는 이유입니다. 문제는 골재에 적용되는 것이 일반적으로 개인에게 정확하게 적용되지 않는다는 것입니다. 내 말은 모든 사람의 위협 모델이 다르다는 것입니다. 공격에 대해 단일화를 두려워 할 이유가있는 경우 위험을 줄이기 위해 적절한 조치를 취해야합니다. 패키지 서명 부족은 악용하기 어려운 공격 경로를 나타냅니다. 보호해야 할 가치가있는 경우 위협 완화 전략에서이 문제를 고려해야합니다.

— Eli Heady

CD / DVD에서 Arch를 설치 한 다음 Caleb에서 제안한 것과 유사하게 바이너리 패키지의 md5 / sha1 합계가 설치 전에 여러 미러의 합계와 일치하는지 확인하십시오. 패키지 서명의 요점을보고 아치가 가지고 있기를 원하더라도 어떠한 경우에도 100 % 보안은 없습니다.

— Alexander

그러면 체크섬이 일반 텍스트 http 또는 ftp보다 안전한 방식으로 제공되는 방법은 무엇입니까? 아치에서 정확히 어떤 방법으로 서명 확인을해야합니까?

— n611x007

1

Slackware는 패키지 서명이 없다고 누가 말했습니까?

Slackware 패키지는 공개 키 Slackware로 서명됩니다. 따라서 모든 패키지에는 확장자가 인 서명이 있습니다 .asc. 패키지뿐만 아니라 다른 파일도 서명 CHECKSUMS.MD5됩니다. 패키지의 체크섬 목록이 포함되어 있습니다.

배포판에는 slackpkg미러에서 패키지를 다운로드 / 설치 하는 공식 도구가 있습니다. slackpkg update도구를 사용 하여 로컬 repo 데이터베이스를 업데이트 한 후 새 MD5 파일의 서명 유효성 및 변경 로그 등을 확인하십시오.

패키지를 다운로드 한 후 (설치하기 전에) 패키지의 서명과 MD5가 확인됩니다.

공개 키를 사용 slackpkg update gpg하거나 설치 CD에서 간단히 공개 키를 가져올 수 있습니다.gpg --import GPG-KEY

slapt-get슬랙웨어를위한 다른 비공식 도구 가 있습니다. GPG 확인도 지원합니다! 와 유사한 방식으로 slackpkg.

— 병역 기피자
소스

-2

지금까지 OpenBSD. 전체 프로젝트는 보안에 전념하고 있으며 팀은 사용하기에 충분히 안전하지 않다고 생각하여 원래 아파치에 5000+ 라인 패치를 설치했습니다. 이것은 pkg_add를 통해 이루어 지지만 결코 문제가 없었습니다.

— 바우 버
소스

4

당신은 질문에 대답하지 않고 있습니다 : 그것은 다운로드 된 패키지 (그리고 * BSD의 경우 포트)의 서명을 확인하는 것에 관한 것입니다.

— Gilles 'SO- 악한 중지'

1

@Gilles에 동의합니다. OpenBSD는 훌륭한 OS이지만 @grm은 Linux 패키지 배포 보안에 대해 물었습니다.

— livingstaccato 2013